Cloud Search でユーザー ID をマッピングする

サードパーティのリポジトリにあるアイテムのアクセス権限を尊重するため、Google Cloud Search では、リポジトリと Google アカウントの間で ID をマッピングする必要があります。たとえば、データベースに jensmith@your-company.com というユーザー名を持つユーザーがいる場合、そのユーザー名を jsmith@solarmora.com などの Google アカウントにマッピングする必要があります。

このマッピングを管理するには、Cloud Search で ID ソースを作成します。この ID ソースを使用することで、デベロッパーはサードパーティのリポジトリ内のユーザー アカウントを Google アカウントにマッピングすることができます。詳しくは、デベロッパーが異なる ID システムを同期する方法についてのページをご覧ください。

始める前に

• Google Workspace Admin SDK と Cloud Identity API へのアクセス権があるサービス アカウント ID をデベロッパーに問い合わせます。
• 検索対象のデータソースを追加します。ID ソースを作成するには、データソースを少なくとも 1 つ追加する必要があります。

1. ID ソースを作成する

サードパーティのユーザー名を Google アカウントにマッピングするには、ID ソースを作成します。

1. Google 管理コンソールで、メニュー アイコン [ アプリ] [Google Workspace] [Cloud Search] に移動します。

   Cloud Search にアクセス

   アクセスするには、Cloud Search の管理者権限が必要です。

2. [Identity sources] カードをクリックします。

   組織の ID ソースのリストが表示されます。

3. 左上の追加アイコン をクリックします。

4. [ID ソース名] に名前を入力します。

5. [サービス アカウントを追加] をクリックします。

6. Admin SDK Users API と Cloud Identity API を介してユーザーデータとグループデータにアクセスできるサービス アカウントのメールアドレスを入力します。

   サービス アカウント ID の作成時に生成されたメールアドレスを使用してください。

7. Admin SDK Users API に対するサービス アカウントのアクセスレベルを設定します。

   • 読み取りと書き込み - API への完全なアクセス権を付与します。

   • 既存 - API にすでに付与されているアクセス権を保持します。

     サービス アカウントに別の ID ソースから読み取り権限と書き込み権限が付与されていた場合、それらの権限は引き続き付与されます。サービス アカウントにアクセス権がまだ付与されていない場合は、引き続きアクセス権が付与されません。

     注: サービス アカウントに読み取り / 書き込みアクセス権を付与した ID ソースが削除されると、サービス アカウントはアクセス権を失います。この ID ソースでこのサービス アカウントを使用する必要がある場合は、オプションを [読み取り / 書き込み] に設定します。

8. サービス アカウントの Cloud Identity API へのアクセスレベルを設定します。

   • 読み取りと書き込み - API への完全なアクセス権を付与します。
   • 読み取り - API への読み取り権限を付与します。
   • アクセス不可 - API へのアクセスを禁止します。

9. [サービス アカウントを追加] をクリックします。

10. 別のサービス アカウントを追加します。サービス アカウントの追加が完了したら、[ID ソースを追加] をクリックします。

    ID ソースが正常に追加されると、自動生成された ID ソースの ID がメッセージとともに表示されます。この ID をコピーして、ID コネクタ担当のデベロッパーに知らせます。

11. [OK] をクリックします。

追加した ID ソースは、ID ソースのリストに表示されます。デベロッパーは、Google API の ID ソース ID を使用して、ユーザーとグループのデータにアクセスする必要があります。ID ソース ID をクリップボードにコピーするには、[コピー] をクリックします。

ID ソース API エラーのトラブルシューティング

• HTTP 403（アクセスが拒否されました）- サービス アカウントに、Admin SDK API と Cloud Identity API の両方に対する明示的な読み取りと書き込みの権限があることを確認します。最初にアクセス権を付与した ID ソースが削除されると、サービス アカウントはすぐにアクセス権を失います。
• HTTP 404（未検出）- identitysources/ID 接頭辞が管理コンソールの有効な ID ソースと一致していること、およびマッピングされたすべてのサードパーティ アカウントが有効な Google アカウントに対応していることを確認します。

2. サードパーティのアカウントを Google Workspace にインポートする

ID ソースを作成すると、Cloud Search によってすべての Google ユーザー アカウントにカスタム属性が追加されます。このカスタム属性に、Google アカウントにマッピングするサードパーティのアカウント ID が保存されます。

管理コンソールでこのカスタム属性を表示するには:

1. [ユーザー] にアクセスします。
2. 右上の [カスタム属性を管理] をクリックします。

重要: このカスタム属性は変更しないでください。名前やフィールドを変更すると、Cloud Search が正常に機能しなくなります。

サードパーティのユーザー名をカスタム属性欄にインポートするには、次のいずれかの方法を使用します。

3. 組織のお客様 ID を見つける

ID コネクタを設定するには、デベロッパーが Google アカウントのお客様 ID をコネクタのプロパティ ファイルに含める必要があります。

1. Google 管理コンソールで、メニュー アイコン [ セキュリティ] [認証] [SAML アプリケーションによる SSO] に移動します。

   [SAML アプリケーションによる SSO] に移動

   この操作を実施するには、特権管理者としてログインする必要があります。

2. [SSO の URL] の横にある URL の末尾で、idpid の値を確認します。C の後の値がお客様 ID です。

   たとえば、次の URL では、お客様 ID は 0123tvz4 です。
   https://accounts.google.com/o/saml2/idp?idpid=C0123tvz4

次のステップ

異なる ID システムを同期できるデベロッパーに、ID ソースの ID と管理者のお客様 ID を知らせます。

ID ソースを編集または削除する